Tim Roemer —responsable de seguridad de la información (CISO) de Arizona y director del Departamento de Seguridad Nacional de Arizona— debe resolver una amplia serie de problemas.
Debe proteger al Estado frente a los ciberataques perpetrados por ejércitos nacionales.
Debe protegerse frente a una amplia superficie de ataque plagada de vulnerabilidades cada vez más numerosas.
Y debe hacerlo en el marco de un conjunto complejo y fragmentado de organismos e instituciones.
¿Cuál fue su solución? Poner en marcha una estrategia estatal integral de « » (se abre en una nueva pestaña) en todo el estado de Arizona.
Esta es la historia de Roemer.
https://youtu.be/D6yZF506WeM
La ciberseguridad forma parte de la Seguridad Nacional
Roemer comenzó su carrera con «unas prácticas realmente buenas» en la CIA. Le apasionaba la lucha contra el terrorismo y trabajó durante 10 años en la agencia.
Durante los dos últimos años de su mandato, informó sobre cuestiones de seguridad nacional al presidente, al vicepresidente y al Consejo de Seguridad Nacional. Esas reuniones le permitieron conocer de primera mano la realidad de los ciberataques perpetrados por Estados-nación y la importancia de la ciberseguridad.
Roemer dejó la CIA y regresó a su estado natal, Arizona. «Quería trabajar en cuestiones de seguridad que afectaran a mis amigos y familiares aquí mismo, en mi propio entorno», explica.
En un primer momento, trabajó como subdirector del Departamento de Seguridad Nacional de Arizona y, posteriormente, fue nombrado responsable de seguridad de la información (CISO) del estado y director del Departamento de Seguridad Nacional de Arizona.
Al asumir estos cargos, Roemer recibió el encargo del gobernador de Arizona, Doug Ducey, de ampliar la ciberseguridad en todo el estado e integrarla en el Departamento de Seguridad Nacional. «Me dijo: “La ciberseguridad es la Seguridad Nacional”», afirma Roemer.
A continuación le explicamos cómo lo consiguió Roemer y qué ha aprendido en el proceso.
«En materia de ciberseguridad estatal y local, se espera de nosotros que mantengamos a raya a ejércitos nacionales de todo el mundo que cuentan con recursos ilimitados, todo el día, todos los días».
Librar una batalla sin fronteras
Por qué la ciberseguridad es importante para estados como Arizona
En cierto modo, los responsables de ciberseguridad de Arizona se encuentran en una situación de desventaja, y deben hacer frente a unas expectativas muy diferentes a las de los responsables de seguridad física.
«De ninguna manera se espera que el Estado de Arizona defienda nuestra frontera física frente a un Estado-nación», explica. «Si Rusia estuviera intentando invadir físicamente la frontera sur de Arizona, no creo que la gente esperara que fuéramos capaces de detenerlos».
En el caso de las medidas de ciberseguridad del Estado ocurre justo lo contrario.
«En materia de ciberseguridad, se espera que mantengamos a raya al ejército ruso, así como al chino, al norcoreano, al iraní… y a todos los demás que se le ocurran», afirma Roemer.
Esto genera una serie de presiones fundamentalmente diferentes para el señor Roemer y sus equipos.
«Por eso la ciberseguridad es tan importante en estos momentos: porque no conoce fronteras», explica. «Hay personas que pueden atacarle con recursos ilimitados procedentes de todo el mundo, y usted tiene que defenderse de todo ello: todo el día, todos los días».
Para satisfacer estas expectativas —y para proteger su estado frente a una amplia gama de atacantes internacionales que contaban con una gran financiación—, Roemer necesitaba dar un paso audaz.
Esto es lo que hizo.
Implantar una estrategia de ciberseguridad «para todo el estado» en Arizona
El gobernador de Arizona, Ducey, no nombró a Roemer simplemente para mantener todo en orden. Nombró a Roemer para que transformara el enfoque del Estado en materia de ciberseguridad.
«El gobernador me nombró para romper con el statu quo y probar cosas nuevas», explica Roemer. Y ese proceso comenzó con una evaluación sincera de la situación actual.
«Estoy firmemente convencido de que es necesario conocer sus puntos fuertes y sus puntos débiles», afirma. «Puede aprovechar sus puntos fuertes, pero sus adversarios se centran en sus puntos débiles, y yo sabía que teníamos puntos débiles y vulnerabilidades que ellos podían aprovechar».
Al igual que casi todos los estados, Arizona tenía un enfoque fragmentado en materia de ciberseguridad. Cada organismo e institución utilizaba sus propios procesos y herramientas, y las buenas prácticas desarrolladas a nivel estatal no llegaban al ámbito local, además de que no existía una comunicación suficiente.
Afortunadamente, Roemer tenía una solución.
«Me di cuenta de que aplicar un enfoque integral a nivel estatal beneficiaría a todos», explica. «Si los dirigentes estatales y locales pudieran “unir fuerzas”, colaborar y empezar a compartir recursos, información y buenas prácticas, estaríamos en una mejor situación».
El enfoque «Whole-of-state» es una estrategia de seguridad emergente (se abre en una nueva pestaña). En él, los responsables de todos los niveles del Gobierno estatal colaboran en cuestiones de seguridad. La estrategia tiene muchos objetivos, pero para el señor Roemer, el éxito del programa se reducía a una sola cosa: potenciar el trabajo en equipo.
«La ciberseguridad es un problema complejo, y nadie tiene todas las respuestas», afirma. «El enfoque a nivel estatal es importante porque se basa en el trabajo en equipo. «Se trata de colaborar y de unir a los buenos para plantar cara a los malos».
A continuación le explicamos cómo Roemer puso en práctica el enfoque «Whole-of-State» en Arizona.
Hacer realidad el enfoque «todo el Estado»: centrándonos en cuatro elementos clave
Roemer puso en marcha un programa de éxito que abarcaba todo el estado centrándose en cuatro elementos.
1. Adopte una mentalidad flexible y orientada al largo plazo
«La seguridad a nivel estatal —y la ciberseguridad en general— es un proceso en curso. Nos enfrentamos a una amenaza en constante evolución, que cambia cada día. «El momento en el que creemos que lo tenemos todo controlado es precisamente el momento en el que nos va a caer encima», afirma Roemer.
2. Establezca relaciones antes de que las necesite
«Tiene que salir de su despacho. Debe entablar contacto con otras personas y generar la confianza y la colaboración necesarias para que se sumen más personas a la iniciativa, y debe hacerlo lo antes posible. En nuestro ámbito siempre se suele decir: «No se pueden repartir tarjetas de visita en una situación de emergencia». «En ese momento, ya es demasiado tarde», afirma Roemer.
3. Determine la financiación
«Necesita un programa de subvenciones. «Afortunadamente, el gobernador Ducey se dio cuenta de los retos a los que nos enfrentábamos en materia de ciberseguridad, y conseguimos destinar 10 millones de dólares al año para ayudar a los distritos escolares, las tribus, los ayuntamientos y las administraciones de los condados, así como a todos los demás, a desarrollar su resiliencia cibernética», afirma Roemer.
4. Tenga siempre presente la gobernanza
«Contamos con un grupo de trabajo sobre subvenciones cibernéticas que funciona en ambos sentidos. Escuchamos a los vecinos para conocer sus necesidades, les ofrecemos soluciones y buscamos la forma de ponerlas en práctica. «Nuestro comité y nuestro grupo de trabajo recorren el estado para mantener esas conversaciones, para asignar las herramientas adecuadas a las organizaciones adecuadas y para asegurarnos de que dichas herramientas funcionen», afirma Roemer.
Objetivos y resultados a nivel estatal de Arizona
Roemer está supervisando minuciosamente su programa para todo el estado y evaluando su éxito en función de una serie de objetivos y resultados clave. Entre ellos se incluyen:
- No se han producido incidentes. «Lo que realmente quiero demostrar es que no se produzca ni un solo incidente de ciberseguridad contra nuestras administraciones locales».
- Solución más rápida:. «Queremos mejorar nuestra capacidad para identificar y subsanar nuestras vulnerabilidades».
- Mejora cuantificable. «Queremos utilizar indicadores para ofrecer una visión general de cómo estamos ayudando a las organizaciones a reforzar su seguridad más que antes».
- Aprovechamiento total. «Esperamos que las administraciones locales destinen cada dólar que el Estado nos ha concedido».
- Más información sobre la financiación en. «Mi objetivo es empezar con los 10 millones de dólares, demostrar que es eficaz, demostrar que estamos obteniendo un buen retorno de la inversión y, a continuación, abogar por una mayor financiación».
El programa estatal de Arizona ya ha generado algunos beneficios significativos, especialmente en lo que respecta al intercambio de información entre los distintos niveles de la administración.
«No puedo proteger los datos de 7.5 millones de arizonenses frente a un atacante del que no tengo constancia», afirma Roemer. «Sin embargo, gracias a la iniciativa “Whole-of-State”, ahora compartimos información en tiempo real. «Mi labor como CISO es más eficaz porque sé lo que observan otras personas, y las autoridades locales se protegen mejor de los ataques que detectamos a nivel estatal».
Lecciones aprendidas: La necesidad de una estrategia y una comunicación claras
La puesta en marcha de un programa que abarca todo el estado ha supuesto para el señor Roemer una experiencia de aprendizaje diario.
«Simplemente he intentado ser como una esponja y aprender todo lo que pueda», afirma.
Sin embargo, hay dos grandes lecciones que destacan para Roemer.
«. Hay que fomentar el espíritu de equipo entre los miembros del equipo», explica. «En estos momentos, el ámbito de la ciberseguridad es un entorno de trabajo muy estresante, y los retos a los que se enfrenta son extremadamente difíciles». «Es fundamental asegurarse de que todo el equipo estatal tenga claro por qué lo hacemos, qué está en juego y cómo vamos a hacer frente a nuestras amenazas».
Para Roemer, lograr este auténtico trabajo en equipo depende de una sola cosa: la comunicación.
«. Hay que comunicar de forma eficaz cuál es la estrategia», afirma. «Nos dimos cuenta de que, cada vez que alguien no apoyaba este programa, era porque no sabía quiénes somos, qué hacemos, por qué lo hacemos, cómo lo hacemos y qué herramientas les proporcionamos».
En definitiva, ambas lecciones van de la mano.
«Cuando todo el mundo conoce su estrategia —y usted la comunica de forma eficaz—, se suman a la iniciativa con gran rapidez, y establecemos buenas colaboraciones que nos proporcionan mayor seguridad», afirma Roemer.
Esta es la primera parte de nuestra entrevista con Tim Roemer, responsable de seguridad de la información (CISO) de Arizona y director del Departamento de Seguridad Nacional de dicho estado. En la parte 2, analizaremos con más detalle el programa estatal de Arizona, incluyendo cómo comparten la información a través de un centro de mando central y cómo dicho programa ha mejorado la respuesta ante incidentes.
